2026 年 7 月 1 日，VDA 与 ENX 正式发布 TISAX 新版评估标准   ISA2027 ，宣告现行 ISA6.0 版本生命周期进入倒计时。新版标准将于  2027 年 1 月 1 日   强制实施，并确立以发布年份命名的年度迭代机制。这不仅是版本号的更替，更是汽车信息安全从“行业封闭合规”向“全球化网络安全融合框架”的战略转型。

一、 版本切换与实施节奏

新版标准的落地采取“订单导向”的硬性切换策略，不设过渡缓冲期：

• 窗口期（2026 年内） ：企业在 2026 年 12 月 31 日前下达的评估订单，仍可选择沿用 ISA6.0 或切换至 ISA2027。
• 强制期（2027 年起） ：自 2027 年 1 月 1 日起，所有新增评估订单必须使用 ISA2027 版本，旧版标准将不再受理。

鉴于距离强制切换仅剩不足半年，已获证企业需立即启动差距分析，尤其是涉及复评或新准入的项目，应结合时间表审慎选择评估版本。

二、 战略定位：对齐 NIST CSF 2.0 与全球法规

ISA2027 的核心逻辑在于解决长期以来汽车行业专项标准与通用网络安全体系“两张皮”的问题。新版全面对齐   NIST CSF 2.0   框架，并深度融合 ISO/IEC 27001:2022、ISO/SAE 21434 及 IEC 62443 等国际标准。

这一调整使得 TISAX 评估结果能够直接映射至欧盟 NIS2 指令、CRA 网络弹性法案及 AI 法案的合规要求。对于跨国经营的供应链企业而言，构建一套符合ISA2027 的体系，意味着能够以最小成本同时满足主机厂的专项审核与通用网络安全监管要求，有效减少重复认证。

三、 核心架构与评估逻辑的重大变革

1. 风险分级：从二维走向三维

传统的 ISA6.0 主要依赖保密性进行单一分级。ISA2027 引入 三维度分级标签体系 ，将保密性（普通/高/极高）、可用性（标准/关键）与完整性（基础/严苛）进行组合，直接映射 AL2/AL3 评估等级。特别是对于自动驾驶路测数据、未发布车型3D 数模及动力系统源代码，标准明确规定自动归入“极高保密”级别，必须执行 AL3 全流程管控。

2. 原型保护：去繁就简

针对此前备受诟病的原型保护（Prototype Protection）模块，新版进行了大刀阔斧的精简。原有的复杂“L 列”附加要求被移除，整体架构重组为“组织要求”与“物理环境安全”两大板块，标签数量由4 个压缩至 2 个。虽然删除了 8.3–8.5 等过时条款，但在管理规范上进行了补全，整体落地难度有所降低。

3. AL2 与 AL3 的差异化切割

为解决旧版中 AL2 与 AL3 界限模糊的问题，ISA2027 将控制点明确拆分为“通用强制项”、“AL2 专属项”与“AL3 加高强制项”。AL3引入了诸如高级渗透测试、7×24 小时安全运营、APT 防御及研发区域全视频监控等高阶要求，显著拉开了两者的审核强度与技术门槛。

四、 新兴技术与供应链的深度管控

随着汽车产业边界的拓展，ISA2027 的控制域已延伸至 OT、AI 及多级供应链：

• OT 安全实体化 ：针对智能工厂，新增独立章节强制要求 IT/OT 单向隔离防火墙、产线设备白名单准入、工控漏洞月度扫描及机器人程序加密存储。未落实隔离措施将直接判定为严重不符合项，新能源电池产线与自动驾驶测试车间设有专项考核点。
• AI 与软件供应链 ：标准强制引入   SBOM（软件物料清单）  管理，要求对车载软件及研发工具的开源成分进行溯源。同时明确禁止使用未经审计的第三方 AI 工具处理涉密数据，并对大模型训练数据集的加密、访问审计及销毁流程提出了具体要求，以对接欧盟AI 法案。
• 供应链穿透式管理 ：管理责任不再止步于一级供应商。ISA2027 要求企业对下游分包商进行 TISAX 风险分级，处理高度涉密数据的二级分包商亦须取得相应标签。企业必须建立供应商安全准入、年度复评及违规终止的全流程制度，并在审核时提交 供应商适用性声明（Supplier SoA） 。

五、 审核流程与合规证据升级

伴随标准内容的收紧，审核执行层面也同步加码：

• 审核形式 ：AL2 审核增加了抽样现场检查环节，不再单纯依赖远程文档评审；AL3 则维持全部门全程现场审核。
• 技术指标 ：渗透测试由可选变为 每年强制执行 ；安全事件日志留存期限明确要求 不低于 3 年 ；内审频次由年度调整为 半年度 。
• 整改时效 ：不符合项的整改验证周期大幅缩短至  30 天 ，逾期未关闭将导致标签公示冻结。

六、 结语与行动建议

总体而言，ISA2027 删减了 12 项过时控制，新增了 37 项汽车行业专属控制点，构建了涵盖组织安全、IT/OT 基础设施、数据保护、原型防护及车载软件安全的十大模块。

对于企业而言，当前的优先任务应聚焦于三个方面：

一是尽快梳理供应商层级，建立 SoA 管理体系以应对分包商穿透审核；

二是加快部署 SBOM 工具链与 IT/OT 隔离设施；

三是根据 2027 年的业务订单规划，倒排工期完成体系文件的改版与内部宣贯。

此次标准迭代既是合规挑战，也是企业优化自身网络安全治理架构的重要契机。

ISA2027 ↔ ISA6.0 核心变化对照表